Không phải doanh nghiệp nào cũng phải lưu trữ dữ liệu tại Việt Nam. Nghĩa vụ này đến từ pháp luật an ninh mạng và chỉ áp dụng cho doanh nghiệp cung cấp dịch vụ viễn thông, Internet hoặc dịch vụ gia tăng trên không gian mạng cho người dùng tại Việt Nam: ứng dụng di động, sàn thương mại điện tử, ví điện tử, mạng xã hội, trò chơi trực tuyến, phần mềm dịch vụ (SaaS)… Doanh nghiệp chỉ dùng cloud để lưu dữ liệu nhân sự, khách hàng của chính mình không thuộc diện này; câu hỏi của họ là chuyển dữ liệu ra nước ngoài theo Luật Bảo vệ dữ liệu cá nhân.
Với doanh nghiệp thuộc diện, quy định khác nhau theo nơi thành lập. Doanh nghiệp trong nước phải lưu trữ dữ liệu người dùng tại Việt Nam ngay, không cần điều kiện kích hoạt (khoản 2 Điều 19 Nghị định 333/2026/NĐ-CP). Doanh nghiệp nước ngoài chỉ phải lưu trữ và đặt chi nhánh hoặc văn phòng đại diện sau khi có quyết định của Bộ trưởng Bộ Công an (khoản 3, khoản 6 Điều 19). Bài viết cập nhật theo văn bản có hiệu lực đến ngày 13/10/2026.
Quy định lưu trữ dữ liệu tại Việt Nam năm 2026 nằm ở đâu?#
Từ ngày 01/7/2026, Luật An ninh mạng số 116/2025/QH15 có hiệu lực và thay thế cả Luật An ninh mạng số 24/2018/QH14 lẫn Luật An toàn thông tin mạng năm 2015 (khoản 1, khoản 2 Điều 44). Các bài viết còn dẫn Điều 26 Luật An ninh mạng 2018 và Nghị định 53/2022/NĐ-CP là đang mô tả quy định cũ.
- Luật An ninh mạng 2025, khoản 3 Điều 25: doanh nghiệp trong nước và ngoài nước cung cấp dịch vụ trên mạng viễn thông, mạng Internet, dịch vụ gia tăng trên không gian mạng tại Việt Nam, có thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ và dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra, phải "lưu trữ dữ liệu này tại Việt Nam trong thời gian theo quy định của Chính phủ". Doanh nghiệp nước ngoài còn phải đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.
- Nghị định 333/2026/NĐ-CP (hiệu lực từ 19/8/2026), Điều 19 và Điều 20: loại dữ liệu, ngành nghề, điều kiện và thời hạn.
- Nghị định 330/2026/NĐ-CP, Điều 33: mức phạt.
Nghị định 53/2022 còn áp dụng không? Nghị định 333 không có điều khoản bãi bỏ Nghị định 53. Điều 30 chỉ quy định ngày hiệu lực; Điều 31 cho phép hồ sơ đã nộp theo Nghị định 53 tiếp tục được giải quyết theo Nghị định 53. Theo cách hiểu của LexData, Nghị định 53 hướng dẫn một luật đã hết hiệu lực từ 01/7/2026 và nay Nghị định 333 điều chỉnh cùng nội dung, nên không còn dùng cho tình huống mới. Một khác biệt đáng chú ý: Nghị định 333 không còn tách "dữ liệu về mối quan hệ của người sử dụng" thành một nhóm riêng như Điều 26 Nghị định 53.
Doanh nghiệp nào phải lưu trữ dữ liệu tại Việt Nam?#
Phép thử là dịch vụ doanh nghiệp cung cấp, không phải việc doanh nghiệp có giữ dữ liệu cá nhân hay không. Khoản 3 Điều 19 Nghị định 333 liệt kê các ngành áp dụng với doanh nghiệp nước ngoài, và danh sách này cũng giúp hình dung phạm vi chung: viễn thông; lưu trữ, chia sẻ dữ liệu trên không gian mạng; cung cấp tên miền cho người dùng tại Việt Nam; thương mại điện tử; thanh toán trực tuyến; trung gian thanh toán; dịch vụ kết nối vận chuyển qua không gian mạng; mạng xã hội và truyền thông xã hội; trò chơi điện tử trên mạng; ứng dụng trực tuyến; nhắn tin, gọi thoại, gọi video, phát trực tuyến.
| Tình huống | Có phải lưu trữ dữ liệu tại Việt Nam? | Căn cứ |
|---|---|---|
| Startup Việt Nam vận hành app giao đồ ăn, dữ liệu đặt trên cloud Singapore | Có, ngay từ khi cung cấp dịch vụ | Khoản 2 Điều 19 Nghị định 333 |
| Công ty có vốn đầu tư nước ngoài thành lập tại Việt Nam vận hành sàn thương mại điện tử | Có. Theo cách hiểu của LexData, công ty thành lập theo pháp luật Việt Nam là doanh nghiệp trong nước, dù vốn nước ngoài | Khoản 2 Điều 19 Nghị định 333 |
| Công ty mẹ ở nước ngoài trực tiếp cung cấp cùng dịch vụ đó cho người dùng Việt Nam | Chỉ khi có quyết định của Bộ trưởng Bộ Công an | Khoản 3, khoản 6 Điều 19 Nghị định 333 |
| Nhà máy lưu hồ sơ nhân sự trên hệ thống HR của tập đoàn ở Nhật Bản | Không có nghĩa vụ lưu trữ; phải lập hồ sơ chuyển dữ liệu ra nước ngoài | Điều 20 Luật 91/2025 |
| Công ty thương mại dùng Google Workspace, CRM nước ngoài cho nội bộ | Không có nghĩa vụ lưu trữ; phải lập hồ sơ chuyển dữ liệu ra nước ngoài | Điều 20 Luật 91/2025 |
Văn bản không định nghĩa "dịch vụ gia tăng trên không gian mạng", nên ranh giới giữa cung cấp và sử dụng dịch vụ trực tuyến là cách đọc của LexData. Trường hợp cần xem kỹ: website tự bán hàng có tài khoản khách hàng (gần với thương mại điện tử) và phần mềm B2B chỉ dùng nội bộ trong doanh nghiệp khách hàng. Phân tích phần cloud dùng nội bộ có tại bài lưu dữ liệu trên cloud có cần tuân thủ luật.
Phải lưu dữ liệu gì, lưu bao lâu và lưu thế nào?#
Dữ liệu phải lưu (khoản 1 Điều 19 Nghị định 333):
- thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam;
- dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra: tên tài khoản sử dụng dịch vụ, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ IP đăng nhập, đăng xuất gần nhất, số điện thoại đăng ký gắn với tài khoản hoặc dữ liệu.
Hình thức lưu trữ do doanh nghiệp tự quyết định, miễn là truy xuất được kịp thời khi cơ quan có thẩm quyền yêu cầu (khoản 5 Điều 19). Nghị định không bắt buộc dùng trung tâm dữ liệu, chứng nhận hay nhà cung cấp cụ thể nào, và không đòi bản lưu tại Việt Nam phải là bản duy nhất.
Thời hạn: dữ liệu lưu tối thiểu 24 tháng (khoản 1 Điều 20); nhật ký hệ thống theo điểm b khoản 2 Điều 25 Luật lưu tối thiểu 12 tháng (khoản 3 Điều 20).
Nghĩa vụ lưu trữ đi kèm nghĩa vụ phối hợp: doanh nghiệp cung cấp dịch vụ phải cung cấp thông tin người dùng cho Bộ Công an trong 24 giờ kể từ khi có yêu cầu, hoặc 03 giờ trong trường hợp khẩn cấp (điểm a khoản 2 Điều 25 Luật An ninh mạng 2025). Có bản lưu tại Việt Nam và một quy trình truy xuất mà nhân sự trong nước tự làm được là cách thực tế để đáp ứng thời hạn này.
App đặt máy chủ ở nước ngoài: lưu trữ tại Việt Nam và chuyển dữ liệu ra nước ngoài#
Nhiều doanh nghiệp Việt Nam đặt máy chủ ở nước ngoài, thường là AWS, Google Cloud hoặc Azure tại Singapore, vì chi phí và độ ổn định. Với doanh nghiệp cung cấp dịch vụ trực tuyến, cấu hình này thiếu bản lưu tại Việt Nam cho nhóm dữ liệu ở khoản 1 Điều 19. Cách xử lý phổ biến là thêm một vùng lưu trữ tại Việt Nam cho nhóm dữ liệu này, còn hệ thống chính vẫn có thể chạy ở nước ngoài.
Lưu trữ tại Việt Nam không cấm chuyển bản sao ra nước ngoài: Nghị định 333 yêu cầu có dữ liệu lưu tại Việt Nam, không cấm chuyển dữ liệu đi. Việc chuyển ra nước ngoài do Luật Bảo vệ dữ liệu cá nhân điều chỉnh. Theo Điều 20 Luật 91/2025/QH15, lưu dữ liệu trên hệ thống đặt ngoài Việt Nam hoặc dùng nền tảng ở nước ngoài để xử lý là chuyển dữ liệu ra nước ngoài, và bên chuyển phải lập hồ sơ đánh giá tác động, gửi Cục A05 trong 60 ngày kể từ ngày chuyển đầu tiên (khoản 1, khoản 2 Điều 20). Doanh nghiệp vừa có bản lưu tại Việt Nam vừa đồng bộ dữ liệu sang Singapore vì vậy có hai nghĩa vụ độc lập. Cách lập hồ sơ xem hướng dẫn lập báo cáo đánh giá tác động chuyển dữ liệu ra nước ngoài.
Doanh nghiệp nước ngoài: chỉ lưu trữ khi có quyết định của Bộ Công an#
Doanh nghiệp nước ngoài thuộc các ngành ở điểm a khoản 3 Điều 19 không phải lưu trữ dữ liệu tại Việt Nam hay mở văn phòng chỉ vì có người dùng Việt Nam. Nghĩa vụ phát sinh khi dịch vụ bị sử dụng để vi phạm pháp luật Việt Nam, lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an đã thông báo, yêu cầu phối hợp bằng văn bản 03 lần trong thời hạn tối đa 06 tháng mà vi phạm không được khắc phục, hoặc khi doanh nghiệp không thực hiện, thực hiện không đầy đủ, cản trở, từ chối yêu cầu của lực lượng này.
Khi đó Bộ trưởng Bộ Công an ra quyết định (điểm a khoản 6 Điều 19). Doanh nghiệp có 12 tháng kể từ ngày có quyết định để lưu trữ dữ liệu và đặt chi nhánh hoặc văn phòng đại diện chịu trách nhiệm pháp lý tại Việt Nam (điểm c khoản 6 Điều 19). Nếu gặp sự kiện bất khả kháng, doanh nghiệp thông báo cho Bộ Công an trong 03 ngày làm việc và có 25 ngày làm việc để tìm giải pháp (điểm b khoản 3 Điều 19). Chi nhánh hoặc văn phòng đại diện phải duy trì đến khi doanh nghiệp chấm dứt hoạt động tại Việt Nam hoặc không còn cung cấp dịch vụ (khoản 2 Điều 20).
Điều này dẫn tới một hệ quả mà nhà đầu tư nước ngoài ít để ý: lập công ty con tại Việt Nam để ký hợp đồng với người dùng Việt Nam khiến nghĩa vụ lưu trữ áp dụng ngay, trong khi cùng dịch vụ đó vận hành từ nước ngoài chỉ phải lưu trữ khi có quyết định. Chọn pháp nhân nào ký hợp đồng với người dùng vì vậy cũng là một quyết định về lưu trữ dữ liệu.
Dữ liệu cốt lõi, dữ liệu quan trọng theo Luật Dữ liệu#
Luật Dữ liệu số 60/2024/QH15 và Nghị định 165/2025/NĐ-CP (hiệu lực từ 01/7/2025) có cơ chế riêng cho dữ liệu được phân loại là dữ liệu cốt lõi, dữ liệu quan trọng: chuyển ra nước ngoài phải được đánh giá hoặc chấp thuận. Nghị định 356/2025/NĐ-CP đã phân định với pháp luật bảo vệ dữ liệu cá nhân: dữ liệu cốt lõi, dữ liệu quan trọng là dữ liệu cá nhân thì được bảo vệ theo Luật Bảo vệ dữ liệu cá nhân (khoản 3 Điều 42 Nghị định 356, sửa khoản 2 Điều 16 Nghị định 165).
Danh mục kèm Quyết định 20/2025/QĐ-TTg chủ yếu gồm dữ liệu chưa công khai của cơ quan nhà nước, nhưng có hai mục tính theo quy mô không gắn với cơ quan nhà nước: dữ liệu công dân cơ bản chưa công khai của từ 100.000 công dân Việt Nam, dữ liệu công dân nhạy cảm của từ 10.000 công dân, dữ liệu tài khoản ngân hàng, lịch sử thanh toán, nghĩa vụ nợ của từ 10.000 doanh nghiệp, tổ chức Việt Nam là dữ liệu quan trọng (mục II.18); ngưỡng dữ liệu cốt lõi gấp mười lần (mục I.26). Quyết định không nói rõ chủ thể nắm giữ; theo cách đọc của chúng tôi, doanh nghiệp tư nhân có tập dữ liệu khách hàng đủ lớn cũng có thể thuộc diện này. Ngưỡng, nghĩa vụ và mức phạt theo Nghị định 363/2026/NĐ-CP (hiệu lực từ 11/11/2026) được phân tích trong bài Luật Dữ liệu và dữ liệu quan trọng.
Mức phạt khi không lưu trữ dữ liệu tại Việt Nam#
| Hành vi | Mức phạt với tổ chức | Căn cứ |
|---|---|---|
| Không lưu trữ dữ liệu theo quy định | 60–100 triệu đồng | Điểm a khoản 1 Điều 33; khoản 1 Điều 7 Nghị định 330 |
| Không thực hiện quyết định lưu trữ dữ liệu hoặc đặt chi nhánh, văn phòng đại diện tại Việt Nam | 60–100 triệu đồng | Điểm b khoản 1 Điều 33; khoản 1 Điều 7 |
| Không lưu nhật ký hệ thống theo điểm b khoản 2 Điều 25 Luật An ninh mạng | 60–100 triệu đồng | Điểm c khoản 1 Điều 33; khoản 1 Điều 7 |
Mức phạt ở các mục về an ninh mạng của Nghị định 330 quy định cho cá nhân (ở đây 30–50 triệu đồng); tổ chức bị phạt gấp đôi (khoản 1 Điều 7), tối đa 200 triệu đồng (khoản 3 Điều 7). Biện pháp khắc phục hậu quả nặng hơn tiền phạt: buộc lưu trữ dữ liệu, buộc đặt chi nhánh hoặc văn phòng đại diện, và buộc tạm dừng cung cấp dịch vụ viễn thông, Internet hoặc kết nối tại Việt Nam (khoản 3 Điều 33). Người nước ngoài vi phạm có thể bị trục xuất (khoản 2 Điều 33).
Điểm a khoản 1 Điều 33 dùng cụm "dữ liệu nhạy cảm về an ninh quốc gia" theo nghị định hướng dẫn Luật An ninh mạng 2025, nhưng Nghị định 333 không dùng khái niệm này. Theo cách hiểu của LexData, mức phạt áp dụng cho nghĩa vụ lưu trữ ở Điều 19; doanh nghiệp nên coi việc thiếu bất kỳ nhóm dữ liệu nào ở khoản 1 Điều 19 là có rủi ro bị phạt.
LexData xác định pháp nhân nào đang cung cấp dịch vụ, nhóm dữ liệu nào thuộc khoản 1 Điều 19 và cách bản lưu tại Việt Nam khớp với hồ sơ chuyển dữ liệu ra nước ngoài, qua dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân và lập hồ sơ đánh giá tác động. Doanh nghiệp phần mềm có thể xem thêm bảo vệ dữ liệu cá nhân ngành SaaS.
